Perl Security

Sélectionné par Skill Harbor : des lignes directrices complètes de sécurité Perl qui transforment Muse en relecteur attentif du code Perl qui touche aux entrées utilisateur, au shell ou au réseau. Commence là où commence la sécurité Perl : le taint mode (-T), qui suit les données externes et force une validation explicite avant usage dangereux, avec le bon modèle d'untainting par regex (et le paresseux /(.*)/ dénoncé comme inutile). Puis vers l'extérieur : validation par liste blanche plutôt que noire avec limites de longueur, prévention ReDoS (pas de quantificateurs imbriqués, quantificateurs possessifs, timeouts sur les modèles non fiables), opérations fichier sûres (open à trois arguments, filehandles lexicaux, défenses TOCTOU et path traversal), exécution de processus sûre (system/exec en forme liste, IPC::Run3, jamais d'interpolation shell en forme chaîne), prévention des injections SQL (placeholders DBI partout, colonnes dynamiques par liste blanche, sécurité DBIx::Class), et sécurité web (encodage HTML::Entities par contexte, jetons CSRF, config de session sécurisée, en-têtes de sécurité). Fournit une configuration perlcritic sécurité et un tableau checklist pour les revues. Chaque règle est illustrée par des paires BON/MAUVAIS, y compris les critiques : open à deux arguments sur données utilisateur, appels system en forme chaîne, SQL interpolé. À utiliser pour relire le traitement des entrées Perl, l'exécution de processus, les requêtes DBI ou le code web exposé (CGI, Mojolicious, Dancer2, Catalyst). Par @affaan-m, listé ici avec crédit à son créateur. Tiré du dépôt affaan-m/ECC (MIT). Bémols honnêtes : une checklist, pas un test d'intrusion ; la flexibilité de Perl exige une discipline qu'aucun skill ne peut imposer à lui seul ; relisez toujours vous-même le code de sécurité et ne collez jamais de vrais secrets dans un chat. Skill Harbor ne vérifie jamais le code, examinez-le vous-même avant usage.